O que é IAM?

Na prática, o IAM cria contas para pessoas e programas, associa a cada uma um conjunto de permissões e confere essas permissões toda vez que alguém tenta abrir um arquivo, usar um serviço ou alterar uma configuração. Em nuvens como a da AWS, ele controla desde quem pode criar servidores até quais aplicações podem ler um banco de dados, geralmente usando perfis, grupos e políticas que dizem o que é permitido ou negado.

Uma analogia simples é pensar em um prédio comercial com crachás. Cada funcionário tem um crachá que identifica quem ele é, e o crachá abre só as portas da sua área: o financeiro entra na sala do cofre, mas o estagiário não. A portaria não decide sozinha o que cada um pode fazer; ela segue uma lista de regras definida pela administração.

O IAM importa porque a maioria dos incidentes de segurança em nuvem envolve permissões demais, senhas fracas ou chaves de acesso esquecidas expostas. Para se proteger, o caminho é seguir o princípio do menor privilégio, ou seja, dar a cada conta apenas o acesso necessário, ativar a autenticação em dois fatores e revisar periodicamente quem tem acesso a quê.